Kişisel Verileri Koruma Kurumu (KVKK), çalışanların mesai takibi amacıyla biyometrik verilerin işlenmesine yönelik daha önce aldığı ilke kararı hakkında veri sorumlularından gelen görüş taleplerini değerlendirerek yeni bir kamuoyu duyurusu yayımladı. Duyuru, özellikle parmak izi, yüz tanıma gibi biyometrik yöntemlerle çalışan devam kontrolü yapan şirketleri yakından ilgilendiriyor. Kurum, kişisel verilerin korunması mevzuatı çerçevesinde işverenlerin hangi koşullarda bu verileri işleyebileceğine açıklık getirirken, uygulamada yaşanan tereddütleri gidermeyi hedefliyor. İşte KVKK'nın duyurusunun ayrıntıları ve işverenler için getirdiği yeni yükümlülükler...
KVKK'nın İlke Kararı ve Gelen Sorular
KVKK, 2024 yılında yayımladığı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” ile çalışanların mesai saatlerinin takibi için biyometrik verilerin kullanımını belirli şartlara bağlamıştı. Bu kararın ardından birçok veri sorumlusu (işveren), uygulama sırasında karşılaştıkları belirsizlikleri ve soruları KVKK'ya iletmişti. Kurum, bu sorular ışığında yaptığı değerlendirmeleri bir kamuoyu duyurusuyla paylaşarak, veri sorumlularının uyum sürecini kolaylaştırmayı amaçladı. Duyuruda, özellikle biyometrik veri işlemenin hukuki dayanağı, aydınlatma yükümlülüğü ve açık rızanın alınma şekli gibi konulara açıklık getirildi.
Biyometrik Veri İşlemenin Hukuki Dayanağı
KVKK'nın ilke kararına göre, mesai takibi amacıyla biyometrik veri işlenmesi temel olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 6. maddesi kapsamında değerlendiriliyor. Bu tür veriler, özel nitelikli kişisel veriler arasında yer alıyor ve işlenebilmesi için açık rıza veya kanunlarda öngörülen istisnai durumların bulunması gerekiyor. KVKK, mesai takibi için biyometrik veri kullanımının ancak işverenin meşru menfaatinin bulunması ve bu menfaatin kişinin temel hak ve özgürlüklerine zarar vermemesi durumunda mümkün olabileceğini vurguluyor. Bununla birlikte, işverenin biyometrik veri yerine daha az mahremiyet ihlali yaratan yöntemleri (örneğin kartlı geçiş sistemi) tercih etmesi gerektiğine dikkat çekiliyor.
Kurum, duyurusunda işverenlerin biyometrik veri işlemeden önce bir “etki değerlendirmesi” yapmaları ve bu veri işleme faaliyetinin ölçülülük ilkesine uygun olup olmadığını değerlendirmeleri gerektiğini belirtti. Ayrıca, işverenlerin çalışanlarına biyometrik veri işlemenin amacı, kapsamı, süresi ve verilerin aktarılacağı alıcılar hakkında detaylı bilgi vermesi (aydınlatma yükümlülüğü) ve mümkün olduğunca açık rıza alması gerektiği ifade edildi.
Veri Sorumlularına Yönelik Yükümlülükler
KVKK'nın duyurusunda, veri sorumlularının (işverenler) dikkat etmesi gereken başlıca hususlar şu şekilde sıralandı:
- Hukuki dayanak: Biyometrik veri işlemenin KVKK'nın 5. ve 6. maddelerindeki şartlara uygun olması, özellikle açık rızanın alınması veya meşru menfaat istisnasının değerlendirilmesi.
- Ölçülülük ilkesi: Biyometrik veri kullanımının zorunlu olması ve daha az kişisel veri işleyen alternatif yöntemlerin bulunmaması hâlinde başvurulması.
- Aydınlatma ve açık rıza: Çalışanların, veri işleme faaliyeti hakkında açık ve anlaşılır bir şekilde bilgilendirilmesi; açık rızanın gönüllülük esasına dayanması ve iş sözleşmesinin bir parçası olmamasına dikkat edilmesi.
- Güvenlik önlemleri: Biyometrik verilerin şifrelenerek saklanması, yetkisiz erişime karşı korunması ve periyodik olarak imha edilmesi.
- Saklama süresi: Verilerin, mesai takibi amacıyla gerekli olan süre boyunca saklanması ve bu sürenin sonunda silinmesi veya anonim hâle getirilmesi.
Çalışanların Hakları ve İtiraz Yolları
KVKK duyurusunda, çalışanların biyometrik verilerinin işlenmesine ilişkin haklarına da vurgu yapıldı. Çalışanların, KVKK'nın 11. maddesi uyarınca verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, verilerin eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme, verilerin silinmesini veya yok edilmesini talep etme hakları bulunuyor. Ayrıca, işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhlerine bir sonucun ortaya çıkmasına itiraz etme hakları da mevcut. Kurum, işverenlerin bu hakları çalışanlarına bildirmesi ve başvuruları en kısa sürede sonuçlandırması gerektiğini hatırlattı. Çalışanların, haklarının ihlal edilmesi durumunda KVKK'ya şikâyette bulunabilecekleri de ifade edildi.
Kurum, duyurusunun sonunda, veri sorumlularının ilke kararına uyum sağlamak için gerekli idari ve teknik tedbirleri almaları gerektiğini vurgulayarak, aksi takdirde KVKK'nın 18. maddesi uyarınca idari para cezası yaptırımıyla karşılaşabilecekleri uyarısında bulundu.
Bağlam ve Değerlendirme
KVKK'nın bu duyurusu, teknolojik gelişmelerle birlikte iş hayatında biyometrik verilerin kullanımının yaygınlaşmasına karşılık bireylerin mahremiyetinin korunması arasındaki dengeyi gözetme çabası olarak değerlendirilebilir. Kişisel verilerin korunması konusunda farkındalığın arttığı günümüzde, özellikle yüz tanıma ve parmak izi gibi hassas verilerin işlenmesi, pek çok ülkede tartışma konusu olmaktadır. Türkiye'de KVKK'nın bu adımı, veri sorumlularına yol gösterici olurken, çalışanların haklarını da güvence altına almaktadır. İşverenlerin, bu düzenlemelere uyum sağlarken yalnızca yasal zorunlulukları değil, aynı zamanda etik ilkeleri de göz önünde bulundurmaları; biyometrik veri kullanımının istisnai bir yöntem olması gerektiği, gizlilik ve özgürlükler açısından taşıdığı risklerin farkında olmaları önem taşımaktadır. Gelecekte, yapay zeka ve makine öğrenimiyle birleşen biyometrik uygulamaların daha da artması beklenirken, KVKK'nın bu konudaki denetleyici rolü, bireysel hakların korunmasında kritik bir işlev üstlenecektir.
